[论文解读] Edwards curves and CM curves

François Morain|ArXiv.org|Apr 15, 2009

Cryptography and Residue Arithmetic参考文献 17被引用 17

一句话总结

本文通过 j-不变量参数化和 Kubert 的模曲线 X₀(2) 与 X₀(4)，建立了 Edwards 曲线、Montgomery 曲线与具有复乘法（CM）的椭圆曲线之间的显式联系。它分类了在有限域上可表示为完全或扭 Edwards 形式的 CM 曲线，并表明当原始曲线不满足时，可通过同源曲线实现完全 Edwards 形式，从而解决了密码学应用中的关键限制。

ABSTRACT

Edwards curves are a particular form of elliptic curves that admit a fast, unified and complete addition law. Relations between Edwards curves and Montgomery curves have already been described. Our work takes the view of parameterizing elliptic curves given by their j-invariant, a problematic that arises from using curves with complex multiplication, for instance. We add to the catalogue the links with Kubert parameterizations of X0(2) and X0(4). We classify CM curves that admit an Edwards or Montgomery form over a finite field, and justify the use of isogenous curves when needed.

研究动机与目标

• 对可在有限域上表示为 Edwards 或 Montgomery 形式的复乘法（CM）椭圆曲线进行分类。
• 通过 Kubert 参数化，建立 CM 曲线、j-不变量与模曲线 X₀(2) 和 X₀(4) 之间的联系。
• 通过展示同源曲线可作为替代方案，解决基于 CM 的密码学中非完全 Edwards 形式的问题。
• 提供基于判别式与扭结构的算法性判别准则，以确定 CM 曲线是否可表示为完全或扭 Edwards 形式。

提出的方法

• 使用 j-不变量参数化对 CM 椭圆曲线进行分类，并将其与模曲线 X₀(2) 和 X₀(4) 关联。
• 应用 Kubert 对 X₀(2) 和 X₀(4) 的参数化，推导出曲线可表示为 Montgomery 或 Edwards 形式的显式条件。
• 利用分害多项式 f₄(X) 与扭点分析，确定 4-扭点的存在性及有理 2-扭点结构。
• 运用同源理论，用可表示为完全 Edwards 形式的同源曲线替代原本不满足条件的曲线。
• 应用狄利克雷类数与类域论，确定素数能否被二元二次型表示，从而关联到曲线存在的条件。
• 应用代数数论结果（如理想类域中素数的分裂行为），判断 CM 曲线判别式在对应域中是否为平方数。

实验结果

研究问题

• RQ1 哪些在有限域上的 CM 椭圆曲线可表示为完全或扭 Edwards 形式？
• RQ2 CM 曲线的 j-不变量如何用于判断其是否可参数化为 Montgomery 或 Edwards 形式？
• RQ3 CM 曲线在何种条件下无法表示为完全 Edwards 形式？是否可使用同源曲线作为替代？
• RQ4 2-扭点与 4-扭点在决定 Edwards 或 Montgomery 形式存在性方面起什么作用？
• RQ5 CM 秩的判别式与类数的算术性质如何影响此类参数化的存在性？

主要发现

• 当且仅当曲线在基域上具有一个 4 阶有理点和一个唯一的 2 阶有理点时，其可表示为完全 Edwards 形式。
• 具有主理想类的 CM 曲线无法表示为完全 Edwards 形式，尽管它们可能具有 Montgomery 形式。
• 对于类型 I 曲线（具有一个有理 2-扭点），当判别式在基域中为平方数且参数 d 不为平方数时，完全 Edwards 形式存在。
• 当 CM 曲线无法表示为完全 Edwards 形式时，可通过同源类中的同源曲线替代，该结论通过同源下降与类域论得到证明。
• 在特征 ≠ 2 的域上，存在有理 4-扭点是与扭 Edwards 曲线双有理等价的充要条件。
• 当判别式 D = -4m 时，曲线仅在 m ≡ 0 或 3 (mod 4) 时具有 4-扭点，其存在性取决于 p = (U² - DV²)/4 的分裂行为以及雅克比符号 χ₄(p) 与 χ₈(p) 的取值。